CVE-2026-63179 in Winter
Sumário
de VulDB • 26/08/2026
O Winter CMS é um sistema de gerenciamento de conteúdo construído sobre o framework PHP Laravel. Nas versões até a 1.2.12, inclusive, usuários autenticados do backend podem divulgar arquivos arbitrários legíveis pelo processo PHP ao injetar diretivas @import (inline) no código-fonte LESS que o backend compila, pois o analisador LESS foi instanciado sem um resolvedor de importação seguro e recorreu ao caminho fornecido cruamente pelo atacante quando nenhuma raiz permitida correspondia. A falha é acessível por quatro pontos de entrada que compartilham a mesma causa raiz: o campo custom_css das Configurações da Marca, o campo html_custom_styles das Configurações do Editor, os campos color-picker das Configurações da Cor da Marca cujos valores são concatenados no código-fonte LESS sem escape, e os ativos .less, .sass e .scss de temas compilados quando servidos. Foram aceitos tanto caminhos absolutos quanto a traversia .. fora da árvore própria do ativo, permitindo que um atacante lesse qualquer arquivo ao qual o processo web tivesse acesso, sendo mais significativo o arquivo .env da aplicação e as credenciais APP_KEY e banco de dados nele contidas. A exploração requer uma conta no backend com uma das permissões associadas, que são atribuídas por padrão à função integrada Developer. Este problema foi corrigido na versão 1.2.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.